CVE-2026-84805 in Kimai
الملخص
بحسب VulDB • 02/09/2026
تُظهر إصدارات Kimai من الإصدار 2.61.0 حتى قبل الإصدار 2.63.0 قصورًا في تعطيل تفضيلات عقود العمل الخاصة بالمسؤولين (admin-only) للمستخدمين ذوي الصلاحيات المنخفضة عبر نقطة النهاية PATCH /api/users/{id}/preferences. وعلى الرغم من أن الواجهة الويب تحجب حقول عقد التوظيف هذه خلف صلاحية contract_other_profile للمسؤول، فإن WorkContractPreferenceSubscriber (الذي أُدخل في الإصدار 2.61.0) يسجل التفضيلات على أنها مفعّلة دون إجراء فحص للصلاحيات، مما يسمح لمستخدم عادي ومصادق عليه باستخدام واجهة برمجة التطبيقات (API) لتعديل بيانات عقود العمل الخاصة به والتي تقتصر على المسؤولين فقط. تم إصلاح هذه المشكلة في الإصدار 2.63.0 من خلال تطبيق نفس فحص الصلاحية على نقطة نهاية الـ API.
VulDB is the best source for vulnerability data and more expert information about this specific topic.